提示：分析办案人员提取的“Laptop_fulldisk_image.E01”回答下列问题：

3.25（填空题　1 分）该计算机的CPU型号是什么？（答案格式：i3-100A）

在system注册表底下的/controlset00x/enum/acpi中存放了cpu信息

system注册表存放系统级配置，保存驱动、服务、硬件枚举和启动配置等

controlset00x是一套可以启动windows的系统配置。通常就是001，可以去select底下查看默认值

enum是Windows已经识别的设备清单

acpi是acpi接口报告位windows的设备

所以，这里直接显示了计算机的cpu信息：i7-12700H

3.26（填空题　1 分）该计算机曾接入了一个移动硬盘，分配驱动器号为D盘，请问盘符名称为？（答案格式：以实际为准，如Tuo_Jie）

我们首先去找接过哪些移动存储设备，在system的/controlset00x/enum/usb底下，能看到计算机接入的设备信息，发现了这个：

注意到device name是portable ssd，基本可以确认是一个移动的存储设备

在software注册表底下Microsoft\Windows Portable Devices\Devices 中可以看到盘符的相关信息，结合这个名字中同样有T5可以判断盘符就是这个（有点不严谨）

3.27（填空题　1 分）该计算机的开机密码是多少？（答案格式：以实际为准，如123456）

思路很简单，导出system和sam注册表，拿去爆破

但是我们没法确定是哪个用户的开机密码，一种方法是直接到NTUSER.DAT中找最近一次登录的用户，直接搜索logon

发现最近一次登录的用户是pc。第二种方法直接去user文件夹中看，谁存放的内容最多就是谁（：：

impacket-secretsdump -sam 'SAM' -system 'SYSTEM' LOCAL

先通过impacket-secretsdump获得电脑中用户的密码的nthash

bb552c1772ea2b18fcb8abd75fba66e5

再拿hashcat爆破出密码就行

hashcat -m 1000 '/mnt/c/Users/Timmy/Desktop/学习/精武26/新建文件夹/hash.txt' /usr/share/wordlists/rockyou.txt

3.28（填空题　1 分）该计算机曾经连接过的远程桌面地址是什么？（答案格式：192.168.1.1）

这道题也要在NTUSER.DAT中找答案，直接搜索：

Terminal Server Client

3.29（填空题　1 分）该计算机部署的WSL版本是多少？（答案格式：1.2.13.0）

在software注册表中，这个注册表保存整台计算机范围的软件和 Windows 功能配置，找这个目录：

Software\Microsoft\Windows\CurrentVersion\Lxss

这里存放了当前版本的windows的配置的集合

但是，这里只能看到版本是2，和要找的版本的格式明显不匹配

于是到windowsapps这个文件夹（文件夹主要存放通过 Microsoft Store 或 MSIX/AppX 安装的应用程序包）底下找，发现了wsl的版本：2.7.14.0

发现这个文件夹名字很特别，搜了一下发现它的结构是：包名称_版本号_架构_资源标识_发布者ID

3.30（填空题　1 分）WSL中部署的大模型推理引擎名称和版本是什么？（答案格式：名称-版本，英文全小写，如llama.cpp-0.1.0）

wsl本质是一个虚拟机，虚拟机肯定要有地方存放磁盘，wsl的磁盘是ext4.vhdx虚拟磁盘。它的存放位置在C:\Users<用户名>\AppData\Local\Packages

<发行版包名>\LocalState\ext4.vhdx，实在找不到直接搜索也行

因为是虚拟磁盘，可以用xways直接挂载。在这个磁盘里，随便找一下不难找到vllm这个文件夹。进去不难找到下面这个包

3.31（填空题　1 分）接上题，其中部署的参数量为1.7B的模型设置的最大上下文长度（max-model-len）是多少？（答案格式：1234）

我们在home/pc目录底下的bash history中找到这个人输入的历史命令，不难发现这一行

8192

3.32（填空题　1 分）接上题，安装使用的CUDA版本是多少？（答案格式：仅写主版本号与次版本号，如11.3）

CUDA（Compute Unified Device Architecture），统一计算设备架构，英伟达推出的基于其GPU的通用高性能计算平台和编程模型。

还是在上一题的文件夹中，不难找到cuda这个文件夹，答案就是1.8.1

吗？

肯定不是，我们注意到这个包是cuda pathfinder，这是什么呢？

由于 vLLM 通过该虚拟环境中的 PyTorch 调用 CUDA，所以要到pytorch中找记录cuda版本信息

当然，还有可能存放cuda版本信息的地方在usr/local中，但是由于这个人没有给全局都安装cuda，所以在local中并不能找到

3.33（填空题　1 分）该计算机中部署的自动语音识别（ASR）模型共有几个？（答案格式：1）

回到计算机中，发现用户文件夹底下有一个文件夹就叫asr，定位到这里找找看

发现了三个models

但是，在做后面的题目的时候，还原了这个语音识别系统，发现里面就用到了两个model

所以说，直接到model中找还是不大合理，最合理的还是去找配置文件

3.34（填空题　1 分）请尝试运行嫌疑人部署的自动语音识别系统，该系统的服务器地址及端口号是什么？（答案格式：http://192.168.1.1:8080）

找了半天，发现在配置文件中。。。

或者直接部署也行。应该直接部署的，开始还怕直接部署太麻烦

3.35（填空题　1 分）请在用于测试自动语音识别系统的文件中，找到的密码是什么？（答案格式：以实际为准，如1234）

在用户的下载的文件中，找到了这个压缩包

解压之后，发现是很多wav文件

我随便听了几个，发现信息都挺正常的，所以我猜测是有隐写，但是这么多音频，他在哪个文件中隐写了呢？

我猜测隐写过的文件可能占用的存储空间会大一点，所以我按照文件大小排个序，发现第21个文件大小异常的大

听一下，发现就是密码

20260915

3.36（填空题　1 分）经分析，该密码可能为嫌疑人某加密盘的密码，请找到该加密盘，写出加密盘原始文件的名称。（答案格式：123.abc）

在桌面上，发现应该vhd文件。就是这个了

3.37（填空题　1 分）接上题，加密盘中AI生成的图片共有多少张？（答案格式：1）

我们要把这个文件挂载一下，打开磁盘管理，操作中点附加vhd，并把前面找到的vhd导入

发现是一个bitlocker，输入密码

问我们有多少张是哎生成的图片，我通过exiftools查看这些照片的信息，因为ai生成的图片通常会留下一些信息，比如提示词，工作流，生成参数，生成软件等等

当然这不是绝对的，当我们生成完一张图片之后，可以手动把这些信息删除了

exiftool -r \-ext png -ext jpg -ext jpeg -ext webp \-Software -Parameters -Prompt -Workflow -Comment \'/mnt/e/目标目录'

'/mnt/e/取证/精武杯26/2026精武杯/2026精武杯检材/2.计算机取证/素材'======== /mnt/e/取证/精武杯26/2026精武杯/2026精武杯检材/2.计算机取证/素材/S01.jpgSoftware: Dreamina======== /mnt/e/取证/精武杯26/2026精武杯/2026精武杯检材/2.计算机取证/素材/S02.pngSoftware: ERNIE-ViLG 3.0Comment: model=ERNIE-ViLG 3.0; prompt=秋日白桦林小径晨雾; user=baidu_yige======== /mnt/e/取证/精武杯26/2026精武杯/2026精武杯检材/2.计算机取证/素材/S03.jpgSoftware: Kolors======== /mnt/e/取证/精武杯26/2026精武杯/2026精武杯检材/2.计算机取证/素材/S04.jpgSoftware: SenseMirage 2.0======== /mnt/e/取证/精武杯26/2026精武杯/2026精武杯检材/2.计算机取证/素材/S05.jpgSoftware: Midjourney======== /mnt/e/取证/精武杯26/2026精武杯/2026精武杯检材/2.计算机取证/素材/S06.pngSoftware: Hunyuan Image 3.0Prompt: dramatic coastal cliffs meeting rough turquoise ocean waves, white surf crashing on dark rocks, overcast dramatic sky======== /mnt/e/取证/精武杯26/2026精武杯/2026精武杯检材/2.计算机取证/素材/S07.pngSoftware: CogView-4======== /mnt/e/取证/精武杯26/2026精武杯/2026精武杯检材/2.计算机取证/素材/S08.pngSoftware: SparkDesk-ImageGen======== /mnt/e/取证/精武杯26/2026精武杯/2026精武杯检材/2.计算机取证/素材/S09.pngSoftware: Stability AI DreamStudioPrompt: long exposure of a rocky creek in a deep autumn canyon, silky smooth water over stones, red and yellow maple leaves, mossy boulders======== /mnt/e/取证/精武杯26/2026精武杯/2026精武杯检材/2.计算机取证/素材/S10.pngSoftware: Adobe Firefly 3======== /mnt/e/取证/精武杯26/2026精武杯/2026精武杯检材/2.计算机取证/素材/S11.pngParameters: inside a crystal blue ice cave under a glacier, sculpted translucent ice walls with wave patterns, soft blue light filtering through.Negative prompt: blurry, watermark, low quality, jpeg artifacts.Steps: 28, Sampler: DPM++ 2M Karras, CFG scale: 7, Seed: 241658937, Size: 1024x1024, Model hash: 6ce0161689, Model: v1-5-pruned-emaonly, Version: v1.9.3======== /mnt/e/取证/精武杯26/2026精武杯/2026精武杯检材/2.计算机取证/素材/S12.pngParameters: the Milky Way arching over a desert rock formation wilderness at night, deep blue starry sky, silhouetted hoodoos, faint airglow on the horizon.Negative prompt: (worst quality:1.4), (low quality:1.4), text.Steps: 32, Sampler: DPM++ 3M SDE Karras, CFG scale: 5.5, Seed: 917340221, Size: 1216x832, Model hash: 31e4c04b4b, Model: sd_xl_base_1.0, Denoising strength: 0.35, Clip skip: 2, Lora hashes: "filmGrain: f9a08a1c94e5", Version: v1.9.3======== /mnt/e/取证/精武杯26/2026精武杯/2026精武杯检材/2.计算机取证/素材/S13.pngPrompt: {"1": {"class_type": "CheckpointLoaderSimple", "inputs": {"ckpt_name": "v1-5-pruned-emaonly.safetensors"}}, "2": {"class_type": "CLIPTextEncode", "inputs": {"text": "a dense green bamboo forest in morning mist, soft light rays through tall bamboo stalks, a narrow stone path, dew on leaves", "clip": ["1", 1]}}, "3": {"class_type": "CLIPTextEncode", "inputs": {"text": "blurry, watermark", "clip": ["1", 1]}}, "4": {"class_type": "KSampler", "inputs": {"seed": 771203, "steps": 25, "cfg": 7.5, "sampler_name": "euler", "scheduler": "normal", "denoise": 1.0, "model": ["1", 0], "positive": ["2", 0], "negative": ["3", 0], "latent_image": ["5", 0]}}, "5": {"class_type": "EmptyLatentImage", "inputs": {"width": 1024, "height": 1024, "batch_size": 1}}, "6": {"class_type": "VAEDecode", "inputs": {"samples": ["4", 0], "vae": ["1", 2]}}, "7": {"class_type": "SaveImage", "inputs": {"filename_prefix": "ComfyUI", "images": ["6", 0]}}}Workflow: {"last_node_id": 7, "last_link_id": 6, "nodes": [], "links": [], "version": 0.4}======== /mnt/e/取证/精武杯26/2026精武杯/2026精武杯检材/2.计算机取证/素材/S14.pngPrompt: {"10": {"class_type": "UNETLoader", "inputs": {"unet_name": "flux1-dev.safetensors", "weight_dtype": "fp8_e4m3fn"}}, "11": {"class_type": "DualCLIPLoader", "inputs": {"clip_name1": "t5xxl_fp16.safetensors", "clip_name2": "clip_l.safetensors", "type": "flux"}}, "12": {"class_type": "LoraLoaderModelOnly", "inputs": {"lora_name": "flux_lora_landscape.safetensors", "strength_model": 0.8, "model": ["10", 0]}}, "13": {"class_type": "CLIPTextEncode", "inputs": {"text": "a wide river cutting through a massive red rock canyon, layered sandstone walls, late afternoon shadows, a small beach on the inner bend", "clip": ["11", 0]}}, "14": {"class_type": "FluxGuidance", "inputs": {"guidance": 3.5, "conditioning": ["13", 0]}}, "15": {"class_type": "KSampler", "inputs": {"seed": 55019872, "steps": 20, "cfg": 1.0, "sampler_name": "euler", "scheduler": "beta", "denoise": 1.0, "model": ["12", 0], "positive": ["14", 0], "negative": ["14", 0], "latent_image": ["16", 0]}}, "16": {"class_type": "EmptySD3LatentImage", "inputs": {"width": 1024, "height": 1024, "batch_size": 1}}, "17": {"class_type": "VAELoader", "inputs": {"vae_name": "ae.safetensors"}}, "18": {"class_type": "VAEDecode", "inputs": {"samples": ["15", 0], "vae": ["17", 0]}}, "19": {"class_type": "SaveImage", "inputs": {"filename_prefix": "ComfyUI_flux", "images": ["18", 0]}}}Workflow: {"last_node_id": 19, "last_link_id": 11, "nodes": [], "links": [], "version": 0.4}======== /mnt/e/取证/精武杯26/2026精武杯/2026精武杯检材/2.计算机取证/素材/S15.pngSoftware: NovelAIComment: {"prompt": "a deep volcanic crater lake with vivid turquoise water surrounded by steep green walls, low clouds drifting inside the caldera", "steps": 28, "height": 1216, "width": 832, "scale": 5.0, "uc": "lowres, bad anatomy, bad hands, watermark, worst quality", "seed": 2847135901, "sampler": "k_euler_ancestral", "cfg_rescale": 0.4, "noise_schedule": "karras"}======== /mnt/e/取证/精武杯26/2026精武杯/2026精武杯检材/2.计算机取证/素材/S16.pngSoftware: Tongyi WanxiangParameters: {"model": "wanx-v1", "prompt": "草原野花盛开，起伏的绿色丘陵，夏日积云，远处雪山", "n": 1, "size": "1024*1024", "seed": 552198, "style": ""}======== /mnt/e/取证/精武杯26/2026精武杯/2026精武杯检材/2.计算机取证/素材/S17.png======== /mnt/e/取证/精武杯26/2026精武杯/2026精武杯检材/2.计算机取证/素材/S18.webpSoftware: Stability AI SDXL 1.0======== /mnt/e/取证/精武杯26/2026精武杯/2026精武杯检材/2.计算机取证/素材/S19.webpSoftware: Dreamina======== /mnt/e/取证/精武杯26/2026精武杯/2026精武杯检材/2.计算机取证/素材/S20.jpgSoftware: Adobe Photoshop 25.3 (Windows)======== /mnt/e/取证/精武杯26/2026精武杯/2026精武杯检材/2.计算机取证/素材/S21.pngParameters: an autumn alpine meadow on a high plateau, golden grass, scattered larch trees turning yellow, distant blue mountain ranges.Negative prompt: (worst quality, low quality:1.4).Steps: 60, Sampler: DPM++ 2M SDE Karras, CFG scale: 4.0, Seed: 4432981, Size: 1024x1024, Model hash: ed3b609840, Model: juggernautXL_v8Rundiffusion, Style: Fooocus V2, Version: 2.5.0======== /mnt/e/取证/精武杯26/2026精武杯/2026精武杯检材/2.计算机取证/素材/S22.png======== /mnt/e/取证/精武杯26/2026精武杯/2026精武杯检材/2.计算机取证/素材/S23.pngWarning: Truncated JPEG 2000 box [x2] - /mnt/e/取证/精武杯26/2026精武杯/2026精武杯检材/2.计算机取证/素材/S23.png======== /mnt/e/取证/精武杯26/2026精武杯/2026精武杯检材/2.计算机取证/素材/S24.pngWarning: Truncated JPEG 2000 box [x2] - /mnt/e/取证/精武杯26/2026精武杯/2026精武杯检材/2.计算机取证/素材/S24.png======== /mnt/e/取证/精武杯26/2026精武杯/2026精武杯检材/2.计算机取证/素材/S25.pngWarning: Truncated JPEG 2000 box [x2] - /mnt/e/取证/精武杯26/2026精武杯/2026精武杯检材/2.计算机取证/素材/S25.png======== /mnt/e/取证/精武杯26/2026精武杯/2026精武杯检材/2.计算机取证/素材/S26.jpgSoftware: Microsoft Designer======== /mnt/e/取证/精武杯26/2026精武杯/2026精武杯检材/2.计算机取证/素材/S27.jpgSoftware: Ver.01.11======== /mnt/e/取证/精武杯26/2026精武杯/2026精武杯检材/2.计算机取证/素材/S28.jpg======== /mnt/e/取证/精武杯26/2026精武杯/2026精武杯检材/2.计算机取证/素材/S29.png======== /mnt/e/取证/精武杯26/2026精武杯/2026精武杯检材/2.计算机取证/素材/S30.jpgSoftware: Adobe Photoshop Lightroom Classic 13.2 (Windows)1 directories scanned30 image files read

所以，这些没有显示的应该就不是ai生成的

吗？

做到后面的时候，复现了foxmail邮箱，发现这几张图片应该全部都是

3.38（填空题　1 分）在上述AI生成的图片中哪个图片是通过腾讯混元大模型生成的？（答案格式：123.jpg）

还好上一题多做了一步

======== /mnt/e/取证/精武杯26/2026精武杯/2026精武杯检材/2.计算机取证/素材/S06.pngSoftware: Hunyuan Image 3.0Prompt: dramatic coastal cliffs meeting rough turquoise ocean waves, white surf crashing on dark rocks, overcast dramatic sky

3.39（填空题　1 分）接上题，有一张图片中有隐藏的信息，隐藏的密码是什么？（答案格式：仅写密码，如1234）

foxmail中有提示，是第21张图片。

左下角发现密码

3.40（填空题　1 分）该计算机中是否安装过其他本地大模型部署工具，如果有请写出其软件名称及版本号。（答案格式：名称-版本，英文全小写，如vllm-0.1.0）

再次回到计算机中，找一下

发现这个ollama

Ollama 启动时需要把自身运行环境写入日志，方便诊断兼容性、升级和故障问题。，所以我们可以去applog中找版本信息

3.41（填空题　1 分）接上题，上述工具部署的模型ID是什么？（答案格式：以实际为准，如123abc）

吸去前面asr的经验，直接找config配置文件

3.42（填空题　1 分）该计算机中嫌疑人使用邮箱软件登录的邮箱账号是什么？（答案格式：jelly@tuojieinfo.com）

在根目录中，不难发现这个foxmail7.2

在文件夹中，发现storage，里面应该存放了相关信息

既然做到这里，我们不妨复现一下这个邮箱。因为这个计算机的镜像实在太大了，要1.9t，我买的固态总共才2t，完全没办法仿真取证。只能仿真这个foxmail邮箱试试看。我们导出这个storage文件夹和foxmail根目录底下的fmstorage。之后再虚拟机中下一个foxmail7.2，然后把这两个导出的文件全部复制进去，就行了

3.43（填空题　1 分）接上题，上述邮箱账号登录邮箱客户端使用的授权码是什么？（答案格式：以实际为准）

授权码不是登录到用户邮箱的密码，而是用户登录到POP3/IMAP/SMTP/Exchange/CardDAV/CalDAV服务的密码

在storage文件夹底下，发现了accounts文件夹，这个跟授权码肯定有关系

这三个文件中rec0是主要的文件，存放和账户相关的所有信息，还有相应的协议等等

htb共foxmail读取rec0的数据

cfg用来定位租着rec0的数据

所以说肯定要关注的就是rec0这个文件

在 Foxmail 文件里，它不会标注为“授权码”，而是作为邮箱密码存放。，打开搜索一下，发现了两个password。这两个password完全一样，没有独立的smtppassword之类的数据，推断这个password应该就是相关的授权码。当然，这个password不是明文存储的，是通过一套小众的加密组成的，根据foxmial版本，确定对应解密密钥 ~F@7%m$~，接下来的工作交给codex了